OxidProxy — руководство пользователя

Document version: 1.11
Software version: 2.4.1
Website: https://oxidproxy.com
Support: support@oxidproxy.com · Telegram

Содержание

1. 1. Описание продукта
2. 2. Системные требования
3. 3. Установка
4. 4. Первоначальная настройка
5. 5. Конфигурация (config.yaml)
   - 5.1 5.1. Лицензия
   - 5.2 5.2. Сетевые параметры
   - 5.3 5.3. Маскировка ОС (OS Fingerprinting)
   - 5.4 5.4. IPv6 подсети и ротация
   - 5.5 5.5. API и управление пользователями
   - 5.6 5.6. DNS-резолвер
   - 5.7 5.7. Ограничение скорости (Traffic Shaping)
   - 5.8 5.8. Тайм-ауты
   - 5.9 5.9. Сервисный аккаунт
   - 5.10 5.10. Чёрный список (Blacklist)
   - 5.11 5.11. Логирование
   - 5.12 5.12. MITM-режим (mitm_listeners)
   - 5.13 5.13. Брендирование панели
6. 6. HTTP API
7. 7. Web-Дашборд
8. 8. Управление службой
9. 9. Логирование и мониторинг
10. 10. Командная строка (CLI)
11. 11. Диагностика и устранение неполадок
12. 12. FAQ
13. 13. История изменений

1. Описание продукта

OxidProxy — высокопроизводительный SOCKS5(h) / HTTP CONNECT IPv6 прокси-сервер, написанный на Rust. Предназначен для развёртывания на собственном выделенном или виртуальном сервере (VPS) и выступает в роли шлюза: принимает входящие подключения по IPv4, авторизует их и маршрутизирует трафик через настроенные IPv6 подсети.

Ключевые возможности

Как это работает

   Ваше ПО            OxidProxy Server           IPv6 подсети         Интернет
  (SOCKS5h/HTTP)  →   Auth • DNS • Shaping   →  Subnet A (w:100)  →  Target
                                                 Subnet B (w:50)

2. Системные требования

3. Установка

3.1. Автоматическая установка (рекомендуется)

Запустите от имени root:

curl -fsSL https://oxidproxy.com/downloads/install.sh | bash

Скрипт автоматически:
1. Скачает и установит кастомное ядро Linux с патчем p0f
2. Настроит загрузчик GRUB на приоритетную загрузку нового ядра
3. Скачает и установит пакет OxidProxy
4. Создаст системного пользователя oxidproxy
5. Настроит systemd-сервис
6. Предложит перезагрузить сервер

3.2. Ручная установка

1. Скачайте .deb-пакет со страницы загрузки
2. Установите пакет:

dpkg -i oxidproxy_*.deb
# При ошибках зависимостей:
apt-get install -f -y

3. (Опционально) Установите кастомное ядро для p0f:

dpkg -i linux-image-6.1.177-oxidproxy-p0f_6.1.177-oxidproxy-p0f-1_amd64.deb
update-grub

3.3. Что создаётся при установке

4. Первоначальная настройка

После установки сервис не запускается автоматически. Необходимо выполнить следующие шаги:

Эти значения сервер проверяет при запуске. Если в license_key, master_token или public_ip остались значения из шаблона, служба назовёт нужное поле и не стартует: наполовину настроенный сервер в работу не уходит.

Шаг 1. Отредактируйте конфигурацию

nano /etc/oxidproxy/config.yaml

Обязательно заполните:
- license_key — ваш лицензионный ключ (получить в Telegram)
- public_ip — внешний IPv4 адрес вашего сервера
- ipv6_subnets — ваши IPv6 подсети
- master_token — секретный токен для API (замените на свой!)

Шаг 2. Настройте маршрутизацию IPv6

Отредактируйте файл /etc/rc.local и раскомментируйте строку маршрута:

nano /etc/rc.local

Замените шаблон на вашу реальную подсеть:

ip -6 route add local 2a01:xxxx::/32 dev lo

Шаг 3. Проверьте конфигурацию

oxidproxy -t /etc/oxidproxy/config.yaml

Должно вывести ✅ Syntax OK. с перечислением основных параметров.

Шаг 4. Перезагрузите сервер

reboot

Это необходимо для применения кастомного ядра и правил маршрутизации.

Шаг 5. Запустите сервис

systemctl start oxidproxy
systemctl status oxidproxy

5. Конфигурация (config.yaml)

Все настройки находятся в файле /etc/oxidproxy/config.yaml. Для применения изменений необходимо перезапустить службу.

5.1. Лицензия

license_key: "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"

# license_servers: не обязателен — см. пояснение ниже

license_servers:
  - "адрес.выданный.поддержкой:8000"

5.2. Сетевые параметры

listen_ip: "0.0.0.0"
public_ip: "123.45.67.89"
# ext_iface: "eth0"  # Опционально

5.3. Маскировка ОС (OS Fingerprinting)

Секция listeners позволяет создать несколько портов, каждый с собственным профилем маскировки TCP/IP отпечатка. Антифрод-системы, анализирующие трафик утилитами типа p0f, увидят характерные для указанной ОС параметры.

Каждый listener поддерживает поле mode, определяющее протокол:

listeners:
  - port: 1080
    os_preset: "linux"
    # mode: "socks"  # По умолчанию, можно не указывать

  - port: 1081
    os_preset: "android"
    mode: "hybrid"    # Принимает и SOCKS5, и HTTP CONNECT

  - port: 1082
    os_preset: "windows"
    mode: "http"

  - port: 1083
    os_preset: "ios"
    mode: "socks"

  - port: 1084
    os_preset: "macos"
    mode: "http"

Доступные профили:

Тонкая настройка (только для опытных пользователей):

Каждый listener поддерживает ручную настройку сетевых параметров:

  - port: 1081
    os_preset: "android"
    tcp_congestion: "bbr"      # Алгоритм контроля перегрузок
    tcp_window_size: 1048576   # Размер TCP окна (байт)
    latency_base_ms: 60        # Базовая задержка (мс)
    jitter_ms: 30              # Джиттер (разброс задержки, мс)
    tos: 10                    # Traffic Class (QoS-маркер)

5.4. IPv6 подсети и ротация

ipv6_subnets:
  - cidr: "2a01:xxxx::/32"
    weight: 427
  - cidr: "2a02:yyyy:yyyy:yyyy::/64"
    weight: 16

rotation_interval: 10

Как работает ротация:
- IP-адрес привязан к паре логин/пароль (Sticky Session)
- При каждой авторизации проверяется, не истёк ли rotation_interval
- Если истёк — генерируется новый IPv6 из подсети (с учётом весов)
- Активные соединения НЕ разрываются — смена IP происходит только при новом подключении
- При простое сессии более 5 минут (настраиваемо через timeouts.idle) она закрывается

5.5. API и управление пользователями

api_port: 8080
api_port_https: 8443  # Опционально — HTTPS с самоподписным сертификатом

master_token: "my-secret-token"

max_accounts: 100000

accounts_file: "/var/lib/oxidproxy/accounts_[port]_[os]_[mode].txt"

# account_seed: 123456789

5.6. DNS-резолвер

Имена разрешает сам сервер. Кэш общий для всех листенеров: имя, найденное для одного клиента, следующему достаётся уже готовым. Серверы с weight делят нагрузку между собой, серверы без веса включаются только тогда, когда взвешенные не отвечают. Резолвер следит за поведением каждого сервера и перестаёт слать запросы тому, кто замолчал, возвращаясь к нему позже. Если первый сервер медлит, запрос параллельно уходит следующему, и побеждает первый ответ, поэтому один медленный сервер не задерживает клиента.

timeout — это время, которое даётся одному серверу на ответ, а не время ожидания клиента: благодаря параллельному запросу клиент обычно получает ответ раньше. Задача этого значения — решать, как быстро замолчавший сервер будет выведен из ротации, поэтому оно короткое. Поставьте 2, если из ротации выводятся исправные серверы. Что происходит с каждым сервером сейчас, видно в /stats, раздел 6.2.

dns:
  timeout: 1
  cache_size: 8000
  suppress_aaaa_not_found: true

  servers:
    # Основные (с балансировкой)
    - address: "[2606:4700:4700::1111]:53"
      weight: 53
    - address: "1.1.1.1:53"
      weight: 7

    # Резервные (failover)
    - address: "[2620:fe::fe]:53"
    - address: "9.9.9.9:53"

Логика работы:
1. Запрос отправляется на один из основных серверов с весом (выбирается по weight — чем больше вес, тем чаще сервер используется). Основных серверов может быть несколько.
2. Если основной сервер не ответил (таймаут/ошибка) — запрос идёт в резервный пул. Резервных серверов также может быть несколько (указываются без параметра weight).
3. Если домен существует, но не имеет AAAA-записи — это не ошибка соединения, бэкап не используется

5.7. Ограничение скорости (Traffic Shaping)

shaping:
  rate: 12500000   # 100 Мбит/с
  burst: 25000000  # 200 Мбит/с (burst)

Шпаргалка:

5.8. Тайм-ауты

timeouts:
  shutdown: 10    # Ожидание завершения сессий при остановке (сек)
  idle: 300       # Максимальное бездействие сессии (сек)

5.9. Сервисный аккаунт

service_account:
  enabled: true
  login: "checker"
  password: "strong_password"
  allowed_domain: "ifconfig.me"

Сервисный аккаунт предназначен для мониторинга и проверки работоспособности прокси. Особенности:
- Статический логин/пароль (не генерируется, не ротируется)
- Имеет доступ только к одному домену (allowed_domain)
- Не расходует лимиты ротации
- Не сменяет IP

5.10. Чёрный список (Blacklist)

blocked_file: "/etc/oxidproxy/blacklist.txt"

Файл содержит список заблокированных доменов и IP-адресов (по одному на строку). Комментарии начинаются с #.

# Блокировка рекламных доменов
doubleclick.net
ads.google.com

# Блокировка приватных IPv6 сетей
fc00::/7
fe80::/10

5.11. Логирование

log:
  dir: "/var/log/oxidproxy"
  level: "info"

Создаются два файла логов:
- oxidproxy.log — полный лог (уровень задаётся параметром level)
- error.log — только ошибки (всегда)

log:
  dir: ""        # пусто = только journal
  level: "info"

5.12. MITM-режим (mitm_listeners)

В MITM-режиме OxidProxy терминирует TLS-соединение клиента собственным удостоверяющим центром (CA) и пересобирает запрос к целевому серверу с сетевым отпечатком настоящего браузера: JA4 (со всеми составляющими), HTTP/2 и Akamai. Профиль выбирается автоматически по User-Agent клиента, поэтому один порт обслуживает все ОС и браузеры — Chrome, Firefox и Safari на Windows, macOS, Linux, Android и iOS.

MITM-листенеры описываются в отдельной секции mitm_listeners и работают параллельно с обычными listeners:

mitm_listeners:
  - port: 8443
    profiles:
      - "windows-chrome"
      - "windows-firefox"
      - "macos-safari"
      - "android-chrome"
      - "ios-safari"
    default: "windows-chrome"    # профиль, если UA клиента не распознан
    # strict: false   # true — отказывать вместо подстановки default
    # mode: socks      # socks / http / hybrid, как у обычных listeners

Профили именуются по схеме <ос>-<браузер>. Доступные варианты:

Поля листенера:

5.13. Брендирование панели

Веб-панель может нести ваш знак вместо нашего. Сделано для перепродажи: панель клиента не обязана рекламировать поставщика.

brand:
  name:   "Acme"
  accent: "Proxy"
  url:    "https://acme.example"

Настройка меняет не только шапку. Она же переименовывает заголовок вкладки браузера, подпись темы в списке и файл сертификата, который панель предлагает скачать, — этот файл раздаётся конечным пользователям, и чужое имя в нём выдало бы всё сразу.

6. HTTP API

API доступен по адресу http://YOUR_IP:PORT или https://YOUR_IP:PORT, где PORT задаётся параметрами api_port и api_port_https в конфигурации (8080 и 8443 по умолчанию).

Для аутентификации используется параметр token (значение из master_token).

Каждый метод отвечает стандартным кодом HTTP: 200 при успехе, 401, если токен не передан или неверен, 400, если запрос невыполним как написан, например запрошен режим, которого нет у листенера, и 500, если сервер не может ответить, например в конфигурации вовсе нет листенеров. Пояснение приходит в теле, но ветвиться в скрипте следует по коду.

6.1. Получение нового прокси — GET /allocate

Возвращает строку подключения с новой парой логин/пароль. Листенер указывается портом — ту же ссылку формирует дашборд (раздел 7.6):

curl "http://YOUR_IP:8080/allocate?token=YOUR_TOKEN&port=1080&mode=socks5"

Ответ:

socks5://user_AbCdEfGh:KlMnOpQrSt@YOUR_IP:1080

Параметры запроса:

Порт указывает листенер однозначно. os выбирает его по профилю; если листенеров с таким профилем несколько, вернётся первый по конфигурации. Порт или профиль, которых нет в конфигурации, получают ответ 400 со списком настроенных.

Примеры:

# Реквизиты для листенера на порту 1081
curl "http://YOUR_IP:8080/allocate?token=YOUR_TOKEN&port=1081&mode=socks5"
# Ответ: socks5://user_xxx:pass_xxx@YOUR_IP:1081

# Тот же листенер, HTTP-прокси (листенер в режиме http или hybrid)
curl "http://YOUR_IP:8080/allocate?token=YOUR_TOKEN&port=1081&mode=http"
# Ответ: http://user_xxx:pass_xxx@YOUR_IP:1081

# По профилю ОС
curl "http://YOUR_IP:8080/allocate?token=YOUR_TOKEN&os=android"

6.2. Статистика — GET /stats

Возвращает полную статистику сервера в JSON.

curl "http://YOUR_IP:8080/stats?token=YOUR_TOKEN"

Пример ответа (сокращённо — поля listeners/mitm_listeners опущены, это эхо соответствующих секций конфига):

{
  "version": "2.0.0",
  "uptime_seconds": 9980,
  "active_connections": { "tcp": 56, "udp": 4 },
  "mitm": { "active": 3, "total": 512 },
  "traffic": {
    "ingress_bytes": 264074969,
    "egress_bytes": 35524983
  },
  "dns": {
    "total_queries": 18905,
    "cache_hits": 17106,
    "cache_stale_served": 12,
    "cache_misses": 1799,
    "cache_entries": 1420,
    "inflight_joined": 63,
    "hedge_fired": 208,
    "hedge_won_by_backup": 41,
    "all_failed": 3,
    "bad_names": 0,
    "servers": [
      {
        "address": "[2606:4700:4700::1111]:53",
        "weight": 53, "state": "healthy",
        "queries": 1502, "failures": 7,
        "timeouts": 6, "servfails": 1, "net_errors": 0,
        "consecutive_failures": 0,
        "last_failure_ago_s": 1840, "last_error": "Timeout"
      },
      {
        "address": "1.1.1.1:53",
        "weight": 7, "state": "healthy",
        "queries": 261, "failures": 0,
        "timeouts": 0, "servfails": 0, "net_errors": 0,
        "consecutive_failures": 0,
        "last_failure_ago_s": null, "last_error": null
      },
      {
        "address": "[2620:fe::fe]:53",
        "weight": null, "state": "healthy",
        "queries": 36, "failures": 0,
        "timeouts": 0, "servfails": 0, "net_errors": 0,
        "consecutive_failures": 0,
        "last_failure_ago_s": null, "last_error": null
      }
    ]
  },
  "events": {
    "total_connections": 18963,
    "connection_errors": 12,
    "access_denied": 0,
    "blocked_domains": 0,
    "dns_no_ipv6": 4,
    "firewall_blocks": 0
  },
  "license": {
    "expires_at_unix": 1770484105,
    "days_left": 29,
    "is_active": true,
    "servers": {
      "L1": "online",
      "L2": "online"
    }
  },
  "telemetry": {
    "cpu_cores": 2,
    "total_mem_mb": 2048,
    "latest_cpu_usage": 4.8,
    "latest_mem_mb": 96
  },
  "server_ip": "1.2.3.4",
  "shaper": {
    "enabled": false,
    "rate_bytes": 0,
    "burst_bytes": 0
  }
}

Основные поля:

7. Web-Дашборд

Встроенный дашборд доступен по адресу:

http://YOUR_IP:8080/dashboard?token=YOUR_TOKEN

7.1. Мониторинг в реальном времени

Дашборд доступен по адресу http://YOUR_IP:PORT/dashboard?token=YOUR_TOKEN, где PORT задаётся параметром api_port в конфигурации. Поддерживается также HTTPS-режим через api_port_https.

Дашборд обновляется каждые 10 секунд и отображает:
- Аппаратные ресурсы — загрузка CPU (с указанием числа ядер) и использование RAM с прогресс-барами
- Сетевой трафик — суммарный Ingress/Egress в удобочитаемом формате (КБ/МБ/ГБ), количество всех и активных TCP/UDP соединений
- Лицензия и статус — оставшиеся дни и статус каждого сервера лицензирования (online/offline) в режиме реального времени
- Версия и аптайм — в шапке дашборда

7.2. Графики трафика

Два графика скорости (Rx/Tx в Мбит/с) с подписями средних значений:
- Почасовой — последние 60 минут с шагом 1 минута
- Суточный — последние 24 часа с шагом 1 час

7.3. Connection Analytics

Круговая диаграмма показывает разбивку всех соединений по категориям:

7.4. Управление IP Whitelist

Панель «IP Whitelist» позволяет управлять списком разрешённых IP-адресов и подсетей прямо из браузера, без перезапуска сервиса:
- Просмотр — отображает все записи с индикатором защищённости (🔒 — системная запись, недоступная для удаления)
- Добавление — поле ввода принимает отдельный IP или подсеть в CIDR-нотации (например, 192.168.1.0/24). Нажмите + Add Entry или Enter
- Удаление — кнопка «×» напротив каждой записи. Удаление 0.0.0.0/0 требует подтверждения во избежание случайной блокировки доступа
- Импорт из файла — кнопка «📁 Import» позволяет загрузить .txt-файл с перечнем IP/CIDR (по одному на строку, поддерживаются комментарии через #)

Список автоматически обновляется каждые 10 секунд — изменения, внесённые с другого устройства или администратором, отразятся без перезагрузки страницы.

7.5. Recent Blocks

Панель «🚨 Recent Blocks» отображает последние заблокированные соединения (до 10 записей) с IP-адресом и временем блокировки. Счётчик Total показывает суммарное число блокировок с момента последнего запуска сервиса.

7.6. AUTO-ROTATION API LINKS

В верхней части дашборда автоматически генерируются кнопки быстрого копирования прокси-ссылок, сгруппированные по профилям ОС (Linux, Android, Windows, iOS, macOS). Кнопки SOCKS5 и HTTP неактивны, если соответствующий протокол не включён для данного профиля.

При нажатии на кнопку в буфер обмена копируется ссылка для получения нового прокси (запрос GET /allocate?port=...&mode=...), а в нижнем правом углу появляется уведомление.

Под кнопками API-ссылок для каждого профиля расположены кнопки TXT SOCKS5 и TXT HTTP для прямого скачивания файла со списком аккаунтов соответствующего профиля и режима. Кнопка неактивна, если режим не включён для данного профиля или файл аккаунтов ещё не создан.

Для MITM-листенеров отображается отдельная карточка MITM: в ней расположена ссылка для подключения и кнопка Скачать сертификат — клиент скачивает CA сервера и один раз добавляет его в доверенные, после чего весь HTTPS-трафик идёт через выбранный профиль браузера.

7.8. Загрузка файлов аккаунтов

В секции Downloads дашборда доступны кнопки для скачивания файлов со списком аккаунтов. Файлы сгруппированы по профилю ОС и режиму прокси:

Каждый файл содержит строки формата protocol://login:password@IP:PORT, готовые для импорта в любое ПО.

7.7. Темы оформления

Дашборд поддерживает восемь визуальных тем, переключаемых без перезагрузки страницы. Выбранная тема сохраняется в браузере:

8. Управление службой

OxidProxy устанавливается как systemd-сервис и запускается от пользователя oxidproxy.

# Запуск
systemctl start oxidproxy

# Остановка (graceful — ждёт завершения активных сессий)
systemctl stop oxidproxy

# Перезапуск
systemctl restart oxidproxy

# Статус
systemctl status oxidproxy

# Включить автозапуск
systemctl enable oxidproxy

# Просмотр логов в реальном времени
journalctl -u oxidproxy -f

9. Логирование и мониторинг

Файлы логов

Ротация логов

Логи ротируются автоматически через logrotate:
- Ежедневно или при достижении 100 МБ
- Хранится 10 предыдущих версий
- Сжатие gzip

Системная телеметрия

Каждые 10 секунд в лог выводится строка [SYS_STATS]:

[SYS_STATS] System Mem: 524/2048 MB | App Mem: 85 MB | CPU: 12.3% | Conns: 42 / 4096

10. Командная строка (CLI)

oxidproxy [OPTIONS]

Опции:
  -c, --config <PATH>      Путь к файлу конфигурации (по умолчанию: config.yaml)
  -t, --test [<PATH>]      Проверить синтаксис конфигурации
  -g, --generate           Сгенерировать пример config.yaml.example
  -b, --blacklist          Сгенерировать пример blacklist.txt.example
  -H, --hwid               Показать HWID сервера
  -p, --ping <HOST:PORT>   Проверить доступность лицензионного сервера
  -V, --version            Показать версию
  -h, --help               Показать справку

Примеры:

# Запуск с конфигом по умолчанию
oxidproxy

# Запуск с указанием конкретного конфига
oxidproxy -c /etc/oxidproxy/config.yaml

# Проверка конфига перед деплоем
oxidproxy -t /etc/oxidproxy/config.yaml

# Генерация примера конфигурации
oxidproxy -g

# Проверка доступности сервера лицензий
oxidproxy --ping адрес.выданный.поддержкой:8000

# Получение HWID
oxidproxy -H

11. Диагностика и устранение неполадок

Сервис не запускается

1. Проверьте конфигурацию:
   oxidproxy -t /etc/oxidproxy/config.yaml

2. Проверьте логи:
   journalctl -u oxidproxy --no-pager -n 50

3. Проверьте лицензионный сервер:
   oxidproxy --ping <HOST:PORT>
   Адрес HOST:PORT берётся из параметра license_servers в конфигурации.

Нет подключения через прокси

1. Убедитесь, что клиент использует правильный протокол — SOCKS5, SOCKS5h или HTTP CONNECT (все поддерживаются). Для максимальной анонимности рекомендуется SOCKS5h (DNS-запросы разрешаются на стороне сервера).
2. Проверьте маршрутизацию IPv6 — осмотрите содержимое файла /etc/rc.local и вывод команды:
   ip -6 route show
3. Проверьте, что порт доступен извне:
   ss -tlnp | grep oxidproxy
4. Проверьте файрвол (iptables/nftables)

Не открываются некоторые сайты

OxidProxy работает только через IPv6. Если целевой сайт не имеет AAAA-записи (IPv6), подключение невозможно.

Проверить наличие AAAA:

dig AAAA example.com

IP не меняется

OxidProxy использует Sticky Sessions. IP привязан к паре логин/пароль. Для смены IP:
- Запросите нового пользователя через GET /allocate
- Или дождитесь истечения rotation_interval и переподключитесь

12. FAQ

В: Что такое SOCKS5h и чем отличается от SOCKS5?

О: В режиме SOCKS5h DNS-запросы выполняются на стороне прокси-сервера (Remote DNS). В обычном SOCKS5 DNS разрешается на стороне клиента — это может привести к DNS-утечкам и раскрыть реальный IP. Всегда используйте SOCKS5h.

В: Почему при каждом перезапуске генерируются новые логины/пароли?

О: По умолчанию аккаунты генерируются из случайного энтропийного зерна. Раскомментируйте и задайте account_seed в конфиге — логины/пароли станут постоянными между перезапусками.

В: Можно ли использовать несколько IPv6 подсетей?

О: Да, добавьте их в секцию ipv6_subnets с разными весами. Трафик будет распределяться пропорционально весам.

В: Как узнать HWID моего сервера?

О: Выполните oxidproxy -H. HWID нужен для привязки лицензии к серверу.

В: Сколько ресурсов потребляет OxidProxy?

О: При 100 000 аккаунтов и ~50 активных соединениях — около 80–120 МБ RAM и ~5% CPU на 1 ядре. Сервер написан на Rust — это обеспечивает высокую производительность и предсказуемое потребление памяти.

В: Безопасен ли API?

О: При включённом api_port_https API работает через HTTPS с самоподписным сертификатом. Для cURL используйте флаг -k. Доступ к API защищён master_token. Статистика (/stats) доступна без токена только с localhost.

В: Что такое HTTP CONNECT режим?

О: HTTP CONNECT — стандартный метод проксирования HTTPS-трафика. Клиент отправляет CONNECT host:443 HTTP/1.1 с заголовком Proxy-Authorization: Basic, после чего устанавливается зашифрованный туннель. Поддерживается всеми браузерами, curl, системными настройками прокси и большинством ПО.

Пример использования через curl:

curl -x http://user_xxx:pass_xxx@YOUR_IP:1081 https://ifconfig.me

В: Чем hybrid отличается от отдельных socks/http портов?

О: В режиме hybrid сервер принимает оба протокола на одном порту. Протокол определяется автоматически по первому байту соединения (0x05 = SOCKS5, иначе HTTP). Это удобнее — не нужно открывать дополнительные порты. Все фишки (p0f, shaping, DNS, лимиты) работают одинаково для обоих протоколов.

В: Что делает переменная [mode] в accounts_file?

О: При экспорте аккаунтов [mode] заменяется на протокол (socks5 или http). Для hybrid-листенеров создаются два файла — один с socks5:// ссылками, другой с http://. Пример: accounts_1081_android_socks5.txt и accounts_1081_android_http.txt.

В: Браузер показывает ошибку сертификата при работе через MITM-порт.

О: MITM-порт терминирует TLS собственным удостоверяющим центром (CA), поэтому клиентское устройство должно один раз добавить сертификат CA сервера в доверенные — иначе браузер будет считать соединение небезопасным. Сертификат доступен для скачивания с сервера (эндпоинт /ca) или кнопкой «Скачать сертификат» на карточке MITM в дашборде (раздел 7.6).

В: Что произойдёт, если User-Agent клиента не входит ни в один из профилей mitm_listeners?

О: По умолчанию сервер подставит профиль из поля default. Если задать strict: true, при нераспознанном User-Agent сервер вместо этого откажет в соединении.

13. История изменений

v2.4.1 — сентябрь 2026

• Проверка конфигурации без указания пути — oxidproxy -t проверяет установленную конфигурацию /etc/oxidproxy/config.yaml, путь указывать не нужно.

v2.4.0 — сентябрь 2026

• Сетевые профили улучшены — характеристики соединения стали ближе к реальным сетям, поведение профилей естественнее.

v2.3.7 — сентябрь 2026

• Выбор листенера по порту в /allocate — параметр port указывает листенер точно, что важно, когда на одном профиле работает несколько листенеров с разными настройками. Параметр os продолжает работать.
• Контроль параметров /allocate — порт или профиль, которых нет в конфигурации, получают ответ 400 со списком настроенных.

v2.3.6 — сентябрь 2026

• Новый DNS-резолвер — общий кэш на все листенеры, отслеживание доступности серверов и параллельный запрос к резервному. Резолвинг стал быстрее и устойчивее, расширен набор поддерживаемых имён.
• Подробная статистика DNS в /stats — по каждому серверу видно состояние, вес и характер отказов, это удобно для диагностики.
• UDP-режим оптимизирован — повышены надёжность сессий и совместимость с сетями.
• SOCKS5: точные коды ответов — клиент получает конкретную причину, по которой соединение не состоялось.
• HTTP-режим оптимизирован — повышены устойчивость под нагрузкой и совместимость с клиентами.
• Профили iOS приведены в соответствие с реальными устройствами.
• Браузерный режим улучшен — повышены точность работы и совместимость с сайтами, крупные загрузки обрабатываются экономнее по памяти.
• Проверка конфигурации при запуске — служба сразу указывает на незаполненные обязательные поля и не стартует, пока license_key, master_token или public_ip содержат шаблонные значения.
• Стандартные коды ответов API — /allocate, /stats и /dashboard возвращают 401 при неверном токене и 400 при некорректном запросе.
• Панель: улучшена читаемость тёмной темы.

v2.2.0 — сентябрь 2026

• Задержки профилей снижены — мобильные профили (android, ios) добавляют 30 мс, настольные (windows, macos) — 10 мс, linux не добавляет ничего. Прежние значения были завышены и стоили лишних десятков миллисекунд на каждом запросе. Заданное явно в config.yaml имеет приоритет: умолчания действуют только там, где ключ не указан.
• jitter_ms больше не применяется — ключ по-прежнему принимается, конфигурации с ним остаются рабочими, но при запуске служба пишет о нём предупреждение в журнал.
• Снято ограничение пропускной способности, проявлявшееся при высокой нагрузке.

v2.1.2 — август 2026

• MITM-порт отказывает небраузерным клиентам — curl, скрипты и всё, что не присылает браузерный User-Agent, получают короткую страницу с объяснением вместо выхода наружу под чужим профилем. Чтобы вернуть прежнее поведение, добавьте в листенер allow_unknown_ua: true. Браузеров изменение не касается.
• Баннер при входе по SSH — необязательный, предлагается при установке. Показывает состояние службы, загруженное ядро, настроенные подсети и адрес панели, а также предупреждает, если master_token остался из шаблона. Токен в баннер намеренно не попадает; полную ссылку выдаёт команда dashboard-url.
• Версия браузера согласована с рукопожатием — для трафика без браузерного User-Agent сервер заявляет ту версию, чьё TLS-рукопожатие эмуляция действительно воспроизводит.

v2.1.0 — август 2026

• Новое кастомное ядро — 6.1.177-oxidproxy-p0f взамен 6.1.170, вместе с подходящим пакетом linux-headers на странице загрузки.
• Адреса лицензирования вшиты в сервер — license_servers больше не обязательный ключ. Поле называется Дополнительные серверы лицензий и обычно не заполняется вовсе; впишите адрес, только если его выдала поддержка.
• Журнал вместо файлов — оставьте log.dir пустым, и сервер будет писать только в журнал systemd. Удобно там, где логи собираются централизованно.
• Брендирование панели — секция brand заменяет надпись над панелью и адрес, куда ведёт глобус: панель можно отдавать своим клиентам под собственным именем.
• Разнообразнее отпечаток TCP — MSS больше не одно значение на все соединения. Оно берётся из правдоподобного распределения и остаётся постоянным для конкретного исходящего адреса, поэтому профиль перестал выделяться одинаковой величиной повсюду.
• Понятные ошибки каталога логов — недоступный для записи каталог сообщается при запуске, а не роняет службу.
• Честный статус p0f — если ядро не может выдать отпечаток, сервер говорит об этом прямо, а не переключается на запасной путь молча.

v2.0.0 — июнь 2026

• MITM-режим — новый режим работы: сервер терминирует TLS собственным CA и пересобирает трафик к целевому серверу с сетевым отпечатком настоящего браузера (Chrome, Firefox, Safari) по всем слоям — JA4 (со всеми составляющими), HTTP/2 и Akamai. Профиль выбирается автоматически по User-Agent клиента, поэтому один порт обслуживает все ОС.
• Секция mitm_listeners — отдельные MITM-порты рядом с обычными listeners, с выбором разрешённых профилей по схеме <ос>-<браузер> и профилем по умолчанию.
• Карточка MITM в дашборде — ссылка для подключения и кнопка скачивания сертификата CA для добавления в доверенные на стороне клиента.

v1.8.1 — май 2026

• QUIC по стандарту RFC — масштабная переработка реализации UDP/QUIC: устранены отклонения от спецификации, улучшена совместимость с клиентами, снижены потери пакетов на высоких нагрузках.
• Новое кастомное ядро 6.1.170-oxidproxy-p0f — обновлённое ядро с кардинально улучшенной совместимостью оборудования. Теперь оно загружается на любых гипервизорах и конфигурациях железа так же стабильно, как стандартное ядро Debian 12 (в предыдущей версии ряд конфигураций не загружался после установки ядра).
• Скачивание файлов аккаунтов из дашборда — в блоке AUTO-ROTATION API LINKS появились кнопки TXT SOCKS5 и TXT HTTP для прямой загрузки файлов со списком прокси-аккаунтов, сгруппированных по профилю ОС и режиму.

v1.7.1 — апрель 2026

• Web-Дашборд — IP Whitelist — полноценное управление белым списком прямо из браузера: добавление, удаление, импорт из файла. Изменения вступают в силу немедленно, без перезапуска сервиса.
• Автообновление дашборда — данные IP Whitelist и Recent Blocks теперь обновляются автоматически каждые 10 секунд вместе с остальной статистикой.
• Connection Analytics — новая круговая диаграмма с разбивкой соединений по категориям (успешные, заблокированные, ошибки, IPv4-only домены).
• Recent Blocks — панель последних заблокированных соединений с отметками времени и суммарным счётчиком.
• Темы оформления — добавлены пять визуальных тем дашборда с сохранением выбора в браузере.
• Поддержка HTTP CONNECT — полноценный HTTP-прокси режим с авторизацией Proxy-Authorization: Basic, корректной обработкой всех вариантов заголовка.
• Улучшена устойчивость сервиса — порт API-дашборда больше не вызывает бесшумное падение при занятом порту; ошибка явно указывается в журнале.
• Исправлен макет дашборда — устранена проблема несовпадения границ колонок между виджетами при различных разрешениях экрана.

v1.7.0 — март 2026

• Hybrid Mode — автоматическое определение протокола (SOCKS5 / HTTP CONNECT) на одном порту по первому байту соединения.
• HTTP прокси — добавлена поддержка режима http в секции listeners.
• Поле [mode] в accounts_file — для hybrid-листенеров экспортируются два файла аккаунтов: с SOCKS5 и HTTP ссылками.

v1.6.0 — январь 2026

• HTTPS API — опциональный порт api_port_https с самоподписным сертификатом.
• Smart DNS Failover — резервный пул DNS-серверов с автопереключением при недоступности основного.
• Сервисный аккаунт — статическая учётная запись с ограничением доступа одним доменом для чекеров и мониторинга.